Fuerscher am Helmholtz Center fir Informatiounssécherheet (CISPA), der Ohio State University an der New York University Fuerschung vu verstoppte Funktionalitéit an Uwendungen fir Android Plattform. Analyse vun 100 dausend mobilen Uwendungen aus dem Google Play Katalog, 20 dausend aus engem alternativen Katalog (Baidu) an 30 dausend Uwendungen virinstalléiert op verschiddene Smartphones, ausgewielt aus 1000 Firmware vu SamMobile, datt 12706 (8.5%) Programmer enthalen Funktionalitéit vum Benotzer verstoppt, awer aktivéiert mat spezielle Sequenzen, déi als Backdoors klasséiert kënne ginn.
Speziell, 7584 Uwendungen abegraff embedded geheime Zougangsschlësselen, 501 abegraff embedded Master Passwierder, a 6013 abegraff verstoppte Kommandoen. Problematesch Uwendungen ginn an all de Softwarequellen, déi iwwerpréift goufen, fonnt - a Prozentsaz, Backdoors goufen a 6.86% (6860) vun de studéierte Programmer vu Google Play identifizéiert, an 5.32% (1064) aus dem alternativen Katalog an an 15.96% (4788) aus der Lëscht vun pre-installéiert Uwendungen. Déi identifizéiert Backdoors erlaben jidderengem, deen d'Schlësselen, d'Aktivéierungspasswierder a Kommandosequenzen kennt, Zougang zu der Applikatioun ze kréien an all Donnéeën déi domat verbonne sinn.
Zum Beispill, eng Sports Streaming App mat 5 Milliounen Installatiounen gouf fonnt fir en agebaute Schlëssel ze hunn fir an d'Admin Interface unzemellen, wat d'Benotzer erlaabt d'App-Astellungen z'änneren an Zougang zu zousätzlech Funktionalitéit ze kréien. An enger Écran Spär App mat 5 Milliounen Installatiounen, gouf en Zougangsschlëssel fonnt, deen Iech erlaabt d'Passwuert zréckzesetzen, déi de Benotzer setzt fir den Apparat ze spären. Den Iwwersetzerprogramm, deen 1 Millioun Installatiounen huet, enthält e Schlëssel deen Iech erlaabt In-App Akeef ze maachen an de Programm op d'Pro Versioun Upgrade ze maachen ouni tatsächlech ze bezuelen.
Am Programm fir Fernsteierung vun engem verluerene Gerät, deen 10 Milliounen Installatiounen huet, gouf e Master-Passwuert identifizéiert, deen et méiglech mécht d'Spär vum Benotzer ze läschen am Fall vum Verloscht vum Apparat. E Master Passwuert gouf am Notizbuchprogramm fonnt, deen Iech erlaabt geheim Notizen opzemaachen. A ville Applikatiounen goufen och Debugging-Modi identifizéiert, déi Zougang zu Low-Level-Fäegkeeten ubidden, zum Beispill, an enger Shopping-Applikatioun, gouf e Proxy-Server lancéiert wann eng bestëmmte Kombinatioun agefouert gouf, an am Trainingsprogramm war et d'Fäegkeet Tester z'iwwergoen. .
Zousätzlech zu Hannerdieren, goufen 4028 (2.7%) Uwendungen fonnt datt schwaarz Lëschte benotzt gi fir Informatioun ze zenséieren, déi vum Benotzer kritt gëtt. Déi benotzt schwaarz Lëschte enthalen Sets vu verbuedene Wierder, dorënner d'Nimm vu politesche Parteien a Politiker, an typesch Ausdréck, déi benotzt gi fir verschidde Segmenter vun der Bevëlkerung ze intimidéieren an ze diskriminéieren. Schwaarzlëschte goufen an 1.98% vun de studéierte Programmer vu Google Play identifizéiert, an 4.46% aus dem alternativen Katalog an an 3.87% vun der Lëscht vu virinstalléierten Uwendungen.
Fir d'Analyse auszeféieren, gouf den InputScope Toolkit vun de Fuerscher benotzt, de Code fir deen an der nächster Zukunft verëffentlecht gëtt. op GitHub (Fuerscher hu virdru e statesche Analysator publizéiert , déi automatesch Informatiounsleken an Applikatiounen erkennt).
Source: opennet.ru